Lyon, le 7 septembre 2012

AUTORITÉ
DE SÛRETÉ
NUCLÉAIRE
DIVISION DE LYON
N/Réf. :
CODEP-LYO-2012-048179 Monsieur le Directeur du centre nucléaire de production d'électricité du Tricastin Electricité de France CNPE du Tricastin BP 40009 Saint-Paul-Trois-Châteaux 26 131 PIERRELATTE CEDEX
Objet :
Contrôle des installations nucléaires de base CNPE du Tricastin (INB n°87 et 88)
Inspection n° INSSN-LYO-2012-0815 du 28 août 2012 R,2,3 - Conduite accidentelle (réactive suite à incident)
Référence :
Code de l'environnement, notamment les articles L.596-1 et suivants Monsieur le Directeur, Dans le cadre des attributions de l'Autorité de sûreté nucléaire (ASN) concernant le contrôle des installations nucléaires de base prévu au code de l'environnement, aux articles L.596-1 et suivants, une inspection réactive inopinée a eu lieu le 28 août 2012 sur le centre nucléaire de production d'électricité (CNPE) du Tricastin sur le thème « R,2,3 - Conduite accidentelle ».

J'ai l'honneur de vous communiquer ci-dessous la synthèse de l'inspection ainsi que les principales demandes et observations qui résultent des constatations faites, à cette occasion, par les inspecteurs.

## Synthèse De L'Inspection

L'inspection inopinée du centre nucléaire de production d'électricité (CNPE) du Tricastin du 28 août 2012 a porté sur le thème « conduite accidentelle ». Cette inspection a été menée à la suite de la déclaration, par EDF, d'un événement significatif survenu le 18 août 2012 sur le réacteur n°3 de l'établissement relatif à la mise en service de l'injection de sécurité en application des procédures de conduite incidentelle et accidentelle.

La décision de piloter le réacteur n°3 avec ces procédures de conduite incidentelle et accidentelle résulte d'une erreur de diagnostic des équipes de conduite qui ont estimé à tort que le réacteur présentait une fuite primaire. Dès lors les procédures de conduite incidentelle et accidentelle ne correspondaient pas à l'état réel de l'installation ce qui a compliqué la prise de décision et le pilotage du réacteur. Il ressort de cette inspection que l'exploitant du CNPE du Tricastin a su retrouver, dans des conditions difficiles, un pilotage conforme aux spécifications techniques d'exploitation. Pour cela, l'exploitant a cependant dû adapter en temps réel et à plusieurs reprises les consignes de conduite incidentelle et accidentelle. EDF
devra donc analyser si ces consignes sont appropriées pour permettre de rattraper des erreurs de diagnostic. Cette inspection a également révélé des écarts dans la gestion des sas d'entrée dans le bâtiment réacteur et notamment dans la gestion de la fermeture des portes de ces sas dans des situations d'incident ou d'accident ww.asn.ff

## Fonctionnement De La Vanne De Régulation De Pression Repérée Rcv 013 Vp

Au cours du redémarrage du réacteur n°3, les opérations d'éventage statique du circuit primaire dans l'état de réacteur « arrêt pour intervention » ne se sont pas passées de la manière attendue. Face à ces difficultés, les opérateurs ont procédé, le 18 août 2012 vers 20h, à une légère baisse de la pression du circuit primaire pour favoriser le dégazage de l'eau du circuit primaire. Cette action a déstabilisé la régulation de pression assurée par la vanne repérée RCV 013 VP : le système de régulation est entré dans une phase d'oscillation continue et autonome (phénomène dit de pompage). La période de ces oscillations étant élevée (de l'ordre d'une heure), le phénomène n'a pas été détecté par les opérateurs. Le pompage de la vanne repérée RCV 013 VP a provoqué des déséquilibres ponctuels entre les débits de charge et de décharge du circuit de contrôle volumétrique et chimique (RCV). Ces déséquilibres ont induit les opérateurs en erreur : ils ont diagnostiqué à tort que le réacteur présentait une fuite primaire supérieure à celle autorisée par les spécifications techniques d'exploitation. Après validation par le chef d'exploitation, ils ont placé le réacteur sous le pilotage des procédures de conduite incidentelle et accidentelle, qui ne sont en réalité pas adéquates pour piloter un réacteur dans une situation où la chaudière est intègre. Les inspecteurs ont vérifié si les actions de maintenance préventive programmée sur la vanne RCV 013 VP avaient été correctement mises en œuvre. Ils n'ont pas relevé d'écart sur l'application du programme d'entretien. Les inspecteurs ont cependant relevé que le module de régulation de cette vanne avait fait l'objet d'une panne le 18 août 2012 au matin et qu'il avait été remplacé. L'examen, par les inspecteurs, des conditions de remplacement et de requalification de ce module n'a pas mis en évidence d'écart particulier. Les inspecteurs ont également relevé que des expertises réalisées sur le module de régulation neuf avaient été réalisées à l'issue de l'incident du 18 août 2012 : cette expertise a permis de confirmer le bon fonctionnement du module de régulation installé le 18 août 2012 au matin. 

Si la vanne repérée RCV 013 VP n'a pas présenté de dysfonctionnement matériel lors de l'incident du 18 août 2012, l'hypothèse privilégiée par l'exploitant pour expliquer les variations subites de débit observées sur la régulation de pression du circuit primaire réside dans l'influence de la présence d'air dans l'eau du circuit primaire : l'air est compressible alors que la régulation est prévue pour un fluide primaire incompressible, ce qui a conduit à perturber le fonctionnement de la régulation. Demande A1 : Je vous demande de conforter cette hypothèse en procédant à des essais de fonctionnement de la régulation de la pression primaire sur une boucle d'essai reproduisant les conditions d'un fluide primaire insuffisamment éventé. Vous me rendrez compte de vos actions en ce sens et m'adresserez les conclusions de ces études Lors de l'incident du 18 août 2012, l'exploitant a dans un premier temps diagnostiqué qu'une fuite primaire d'environ 5 m3/h affectait le circuit primaire du réacteur n°3. C'est sur la base de ce bilan de fuite qu'ils ont engagé le pilotage de ce réacteur selon les consignes de conduite incidentelle et accidentelle car ce bilan de fuite est supérieur au critère fixé par les spécifications techniques d'exploitation à une valeur maximale de 2,3 m3/h. 

Ce pilotage s'effectue dans un premier temps à l'aide du document d'orientation et de stabilisation qui demande notamment aux opérateurs d'effectuer différents diagnostics sur l'état de la chaudière nucléaire. Parmi ces diagnostics figure la réalisation d'un nouveau bilan de fuite du circuit primaire à partir d'une méthode dite simplifiée. Ce calcul simplifié a été réalisé par les opérateurs et a permis d'établir que le bilan de fuite de la chaudière était de 3,2 m3/h : cette valeur a confirmé aux opérateurs la présence d'un débit de fuite supérieur au critère fixé par les spécifications techniques d'exploitation et a conforté les opérateurs dans la poursuite d'un pilotage sous les procédures de conduite incidentelle et accidentelle. Les procédures de conduite incidentelle et accidentelle utilisées par les opérateurs sont la traduction opérationnelle de la règle de conduite incidentelle et accidentelle référencée PSSC DC 33 approuvée par l'Autorité de sûreté nucléaire. Cette procédure indique que la méthode de détermination du bilan de fuite comporte une incertitude importante et qu'en particulier son utilisation pour le calcul de débits de fuite inférieurs à 20 m3/h conduit à des résultats fortement erronés. Cette précision n'est cependant pas reprise dans les documents opératoires de conduite qui sont à disposition des opérateurs en salle de commande. 

## Demande A2 :

a- Je vous demande de mener une action de sensibilisation sur le caractère peu fiable des bilans de fuite réalisés dans les états d'arrêt du réacteur dans le cadre des procédures de conduite incidentelle et accidentelle lorsque les résultats du calcul correspondent à des faibles débits de fuite. Vous veillerez à sensibiliser les membres des équipes de conduite, les membres des équipes locales de crise ainsi que les agents appelés à exercer la fonction d'astreinte direction « PCD1 ». 

b- Je vous demande d'étudier avec les services centraux d'EDF l'opportunité de faire évoluer les consignes de conduite incidentelle et accidentelle pour faire mention de ce constat. 

Sur la base de ces calculs et en application des procédures de conduite (et notamment la procédure référencée ECPR2), les opérateurs ont mis manuellement en service l'injection de sécurité basse pression : l'automate de protection procède alors à l'isolement de l'enceinte de confinement dit de « phase 1 » qui provoque en particulier l'isolement des lignes de charge et de décharge du circuit de contrôle volumétrique et chimique (RCV). 

Etant donné l'absence de fuite réelle sur la chaudière et la mise en service de l'injection de sécurité basse pression, la pression du circuit primaire a rapidement augmenté pour atteindre environ 10 bar, puis a continué à augmenter du fait du maintien de l'injection aux joints d'étanchéité des pompes primaires. Cet événement ayant eu lieu au moment d'une relève de quart, deux équipes de conduite étaient présentes en salle de commande. Le chef d'exploitation de l'équipe montante a alors pris la décision d'arrêter l'injection aux joints d'étanchéité des groupes motopompes primaires pour éviter de solliciter les soupapes de protection du circuit de refroidissement à l'arrêt (RRA). En effet, sans cette intervention, le diagnostic initial erroné et l'application des consignes de conduite incidentelle et accidentelle auraient pu conduire à solliciter ces soupapes qui sont calibrées pour s'ouvrir dès que la pression du circuit primaire atteint 30 bar. Une telle situation doit être évitée dans la mesure du possible pour se prémunir de toute défaillance potentielle des soupapes et donc de l'apparition d'une fuite sur le circuit RRA. 

En effet, à la suite de sollicitations, les soupapes présentent un risque de ne pas se refermer et donc de créer une fuite sur le circuit primaire. 

Dans ces conditions les inspecteurs s'interrogent sur le bien-fondé de la mis en service manuelle systématique de l'injection de sécurité qui découle de l'application de la consigne référencée DOSR dès lors qu'un bilan de fuite faible est diagnostiqué par les opérateurs alors que : 
- la règle de conduite incidentelle et accidentelle référencée PSSC DC 33 indique que la méthode de détermination du bilan de fuite comporte une incertitude importante ; 
- il n'y a pas dans la consigne DOSR de phase de test pour surveiller l'évolution d'une fuite faible et confirmer ainsi plus précisément l'hypothèse d'une fuite sur le circuit primaire ; 
- dans une situation similaire lorsque le circuit primaire n'est pas intègre mais reste pressurisable, la consigne de conduite applicable (ECPRO) ne demande pas la réalisation d'un calcul de bilan de fuite mais se borne à demander aux opérateurs de surveiller régulièrement l'évolution du niveau d'eau dans la cuve. 

Demande A3 : Je vous demande, en liaison avec les services centraux d'EDF, d'évaluer la pertinence de la procédure de conduite référencée DOSR sur l'action systématique de mise en service manuelle de l'injection de sécurité pour des faibles débits de fuites (et calculés selon la méthode de cette procédure). Je vous demande en particulier d'examiner la cohérence des actions de conduite prescrites entre les procédures de conduite suivantes : 
- le module « Primaire non suffisamment ouvert - stabilisation ou remontée sur les générateur de vapeur » de la consigne référencée ECPRO ; 
- le module « circuit primaire fermé - circuit de refroidissement à l'arrêt connecté » 
des consignes référencées DOSR et ECPR2. 

## Maintien De L'Ouverture Des Portes Du Sas Situé Au Niveau 8 Mètres Du Bâtiment Réacteur

Avant l'événement, la fonction de sûreté « confinement » du réacteur était concernée par l'application de la prescription particulière relative à l'ouverture du sas 8 mètres : les deux portes du sas 8 mètres étaient ouvertes en application d'une prescription particulière des spécifications techniques d'exploitation. Les mesures compensatoires associées à cette prescription particulière ont été respectées et le recours à cette prescription particulière était reporté sur le tableau des indisponibilités en salle de commande. 

Lorsque la décision de piloter le réacteur n°3 avec les procédures de conduite incidentelle et accidentelle a été prise par le chef d'exploitation, une évacuation du bâtiment réacteur a été ordonnée. Dans la mesure où aucun chantier ne se déroulait dans le bâtiment, aucune personne n'y était présente. En application du mode opératoire référencé R2/MO/444 indice 6, le gardien des accès en poste à l'entrée du bâtiment réacteur aurait dû une fois l'évacuation terminée refermer les portes du sas pour garantir la restauration de la troisième barrière de confinement. Il a été établi au cours de l'inspection que cette action n'a pas été réalisée. Au-delà de cet écart qui engage de manière directe les fonctions de sûreté de l'installation, les inspecteurs de l'ASN relèvent de manière récurrente des lacunes dans les connaissances des prestataires chargés des accès dans les bâtiments réacteur des installations nucléaires d'EDF. 

Demande A4 : Je vous demande : 
- de revoir les conditions d'attribution des marchés de gardiennage des accès dans les bâtiments réacteur de manière à revaloriser l'importance pour la sûreté et la sécurité des personnels chargés de cette activité ; 
- pour les arrêts de la campagne 2013, d'une part de procéder à une action d'envergure de formation des gardiens des accès dans les bâtiments réacteur pour qu'ils aient pleinement conscience de leur rôle vis-à-vis de la sûreté et de la sécurité du personnel et, d'autre part, de renforcer significativement la surveillance de ces prestataires. 

Vous me rendrez compte de vos actions en ce sens. 

Pendant toute la durée de l'événement, la fonction de sûreté « confinement » était obérée par l'ouverture du sas 8 mètres. Il a été établi au cours de l'inspection, que les différents acteurs (chef d'exploitation, ingénieur de sûreté, astreinte direction exerçant la fonction « PCD1 ») ne se sont pas interrogés sur l'intégrité de la troisième barrière de confinement, considérée comme intègre. 

A leur décharge, il semble que les procédures de conduite incidentelle et accidentelle qu'ils ont appliquées le 18 août 2012 ne prévoient pas explicitement de requête sur cette question. L'équipe de conduite a en effet appliqué les consignes de conduite référencées DOSR et ECPR2 valables pour l'état initial du réacteur, à savoir : le circuit primaire était fermé (état « arrêt pour intervention (non suffisamment ouvert ) » )et le circuit de refroidissement du réacteur (RRA) 
était connecté. La consigne de conduite appliquée et référencée ECPR2 demande à l'équipe de conduite d'ordonner l'évacuation du bâtiment réacteur mais ne demande pas de vérifier la bonne fermeture du sas. Dès lors, cette fermeture repose sur la bonne application par le gardien des accès dans le bâtiment réacteur des consignes à sa disposition. En revanche, si, lors de l'événement initiateur, le circuit primaire est ouvert, l'équipe de conduite applique d'autres consignes de conduite (et notamment la consigne référencée ECPRO) qui prévoient explicitement le cas où le bâtiment réacteur est ouvert et demande de manière explicite et immédiate de procéder à la fermeture des sas d'accès du bâtiment réacteur. 

Il semble par ailleurs que les procédures régissant la conduite du réacteur lorsque le circuit de refroidissement à l'arrêt est connecté (procédure référencée ECPR2) ne prévoient pas le cas où une prescription particulière des spécifications techniques d'exploitation autorise l'ouverture simultanée des deux portes des sas du bâtiment réacteur : l'état initial du réacteur n'était donc pas celui qui était prévu pour la consigne référencée ECPR2 où au moins l'une des deux portes du sas est fermée. 

Demande A5 : Je vous demande d'introduire auprès de vos services centraux une demande de modification des procédures de conduite incidentelles et accidentelles afin d'introduire dans les phases de diagnostics de l'état des fonctions de sûreté un questionnement sur l'état d'ouverture des différents sas et tampons matériels de l'enceinte de confinement et de demander explicitement leur fermeture.

## Analyse Sous L'Angle Des Facteurs Organisationnels Et Humains Du Pilotage De L'Événement

Le diagnostic de la présence d'une fuite supposée sur le réacteur n°3 et la décision de placer le réacteur sous conduite incidentelle et accidentelle a été prise par l'équipe de conduite alors qu'elle achevait son poste (équipe de conduite descendante). L'équipe de conduite devant la relever (équipe montante) s'est présentée peu de temps après, de sorte que plusieurs décisions ont été prises dans un contexte où deux équipes de conduite étaient présentes en salle de commande, et notamment deux chefs d'exploitation (celui de l'équipe descendante et celui de l'équipe montante).

Cette situation a perduré jusqu'à l'arrivée en salle de commande de l'agent assurant l'astreinte direction sur la fonction « PCD1 » qui a conforté le chef d'exploitation de l'équipe montante comme chef d'exploitation en titre. Demande A6 : Je vous demande de mener une analyse sous l'angle des facteurs organisationnels et humains de la gestion de l'incident par deux équipes de conduite au moment où celles-ci effectuaient leur relève. Je vous demande en particulier d'analyser la question du leadership dans la prise de décision par les deux chefs d'exploitation présents. Ouverture des vannes des lignes de débit nul des pompes d'injection de sécurité basse pression vers le bâtiment réacteur En application de la procédure référencée ECPR2, l'équipe de conduite a demandé l'application de la fiche locale référencée RFLL n°014 « ouverture débit nul puisards RIS 144 et 145 VP ». L'ouverture des lignes à débit nul sert à protéger les pompes en cas de pression avale trop importante. Cette fiche locale est présente dans la salle de commande du bâtiment des auxiliaires nucléaires : elle a été mise en œuvre par un agent de terrain qui ne participait pas à la gestion de l'événement depuis la salle de commande principale du réacteur. 

Cette ouverture des lignes à débit nul des pompes d'injection de sécurité basse pression a entraîné le déversement d'environ 120 m3 dans les puisards du bâtiment réacteur. Ce déversement découle de l'application de ces procédures et ne revêt pas de caractère inapproprié. Néanmoins, au cours de l'inspection, il est apparu que l'équipe de conduite n'avait pas fait le lien entre la montée du niveau dans les puisards du bâtiment réacteur et la demande d'ouverture de la ligne à débit nul des pompes de l'injection de sécurité basse pression. Au cours de l'entretien avec les différents intervenants, il est apparu que la consigne référencée ECPR2 demande la mise en œuvre de la fiche de manœuvre référencée RFLL 14 sans préciser explicitement la configuration de circuit qui en résultera. Les chefs d'exploitation et les agents de terrain ont tous eu, lors de l'événement, le sentiment d'avoir effectué un pré-lignage mais n'avaient pas conscience que l'eau de la bâche de stockage du circuit de traitement des eaux de piscine (PTR) allait s'écouler directement dans les puisards du bâtiment réacteur. 

Dès lors, les opérateurs ont eu une représentation erronée de l'état de la chaudière. Ce point a retardé la conduite de l'incident détournant l'attention de l'équipe de conduite des objectifs fonctionnels de la conduite en situation incidentelle et accidentelle. 

Au cours de l'inspection, un échange téléphonique organisé avec le centre d'ingénierie du parc nucléaire (CIPN) et l'unité d'ingénierie d'exploitation (UNIE/GPSN) n'a pas permis d'apporter la justification fonctionnelle du moment où apparaît la demande d'ouverture des lignes à débit nul dans les puisards du bâtiment réacteur dans la procédure de conduite ECPR2. Cette demande intervient en effet très tôt dans la séquence de pilotage : 
- dès le déclenchement de l'ordre manuel d'injection de sécurité, les automates de protection orientent automatiquement les lignes à débit nul vers la bâche du système PTR : cela assure une protection des pompes d'injection de sécurité basse pression vis-à-vis d'un éventuel fonctionnement en sous-débit. Cette protection reste active tant que la réserve d'eau de la bâche PTR reste au-dessus du niveau « MIN2 » de cette bâche ; 
- la demande d'ouverture de cette même ligne de débit nul vers les puisards du bâtiment réacteur (via la fiche de manœuvre référencée RFLL 14) procure un deuxième exutoire pour les pompes d'injection de sécurité basse pression, mais cette action semble superflue tant que le niveau « MIN2 » de la bâche PTR n'est pas atteint. 

## Demande A7 :

a- Je vous demande, en vous rapprochant de vos services centraux, de justifier le bien fondé de cette ouverture dans la phase d'orientation initiale de la consigne référencée ECPR2 et, si nécessaire, de modifier cette procédure de conduite pour différer dans la séquence de pilotage l'ouverture des vannes de la ligne de débit nul vers les puisards du bâtiment réacteur. Cette ouverture pourrait par exemple être conditionnée à l'atteinte d'un critère pertinent ; 
b- Je vous demande, en liaison avec les services centraux d'EDF, d'expliciter, dans les documents opérationnels de conduite, l'action associée à la mise en œuvre de la fiche de manœuvre référencée « RFLL 14 » afin d'appeler l'attention de l'équipe conduite sur le lignage qui en résulte. 

En analysant la gestion de l'événement par l'exploitant, les inspecteurs ont noté que les équipes de conduite ont pris à quatre reprises des décisions qui relèvent d'une adaptation ou d'une anticipation par rapport à la stricte application des procédures de conduite incidentelle et accidentelle : 
1- L'arrêt de l'injection aux joints d'étanchéité des 3 groupes motopompes primaires quelques minutes après le démarrage de l'injection de sécurité. Cette action a été décidée par le chef d'exploitation de l'équipe montante et était fondée sur le constat de l'augmentation de pression dans le circuit pouvant engendrer une ouverture des soupapes du circuit de refroidissement du réacteur à l'arrêt. A posteriori, il s'avère que cette action constitue une anticipation des séquences prévues par les procédures de conduite incidentelle et accidentelle, mais le chef d'exploitation n'en avait pas conscience au moment de sa prise de décision. 

2- La demande d'une reconnaissance à l'intérieur du bâtiment réacteur par deux agents de conduite. Cette action a été décidée par la chef d'exploitation de l'équipe montante afin de comprendre l'origine d'une arrivée subite d'eau en grande quantité dans les puisards du bâtiment réacteur. Il a notamment fondé sa décision sur la diminution rapide du niveau d'eau dans la bâche de stockage du circuit de traitement et de réfrigération d'eau des piscines (bâche PTR). En réalité, le déversement d'eau provenait de l'ouverture des vannes de la ligne de débit nul des pompes du circuit d'injection de sécurité à basse pression.

Cette ouverture avait été réalisée quelques instants auparavant par les équipes de conduite en application des procédures de conduite incidentelle et accidentelle et par la mise en œuvre de la fiche de manœuvre référencée RFLL 14. Bien que cette mise en communication entre la ligne de débit nul des pompes d'injection de sécurité basse pression et le bâtiment réacteur ait répondu à une application des consignes de conduite, les intervenants n'avaient pas pris conscience de la configuration réelle qu'ils mettaient en place sur les circuits de la chaudière. Les agents des équipes de conduite (y compris les deux chefs d'exploitation et l'agent d'astreinte exerçant la fonction « PCD1 ») ne disposaient pas d'une bonne représentation mentale de l'état de l'installation. C'est pour faire face aux difficultés à appréhender la situation qu'il a été décidé de faire procéder à une reconnaissance à l'intérieur du bâtiment réacteur par deux agents de terrain. Les inspecteurs ont relevé que cette décision prise par le chef d'exploitation de l'équipe montante n'a pas fait l'objet d'une demande de validation par l'agent exerçant l'astreinte direction sur la fonction « PCD1 ». De même, il semble qu'une analyse de risques auxquels les deux agents de terrain seraient exposés ait bien été réalisée oralement, celle-ci n'a pas été formalisée eu égard à l'urgence de connaître l'état réel de l'installation. 

3- La fermeture des vannes repérées RIS 144 et 145 VP afin de couper la liaison entre la ligne de débit nul des pompes d'injection de sécurité basse pression et le bâtiment réacteur. La reconnaissance des agents de terrain dans le bâtiment réacteur a en effet permis d'éclairer les équipes de conduite sur l'état réel de l'installation et d'identifier que cette liaison causait la vidange rapide de la bâche du circuit PTR. Cette fermeture n'est cependant pas prévue par la consigne de conduite ECPR2. La décision a été prise par l'agent exerçant l'astreinte direction sur la fonction « PCD1 ». 

4- La décision a été prise par l'agent exerçant l'astreinte direction sur la fonction « PCD1 » 
de ne pas procéder à l'isolement du circuit de refroidissement à l'arrêt, contrairement à ce qui était prévu par la procédure ECPR2. Cette décision a été prise à partir d'une analyse préparée et formalisée produite par l'équipe locale de crise. A cet instant de l'événement, les équipes de conduite, notamment sur la base du rapport de la reconnaissance menée par les deux agents de terrain dans le bâtiment réacteur, disposaient d'une meilleure compréhension du transitoire subi par la chaudière et avaient identifié que le pilotage du réacteur par les procédures de conduite incidentelle et accidentelle relevait d'une erreur de diagnostic. Dès lors les équipes de conduite ont souhaité sortir le plus rapidement possible de ces procédures pour retrouver un pilotage du réacteur conforme aux spécifications techniques d'exploitation. Cela les a conduit à ne pas appliquer strictement les modules des procédures de conduite incidentelle et accidentelle qui étaient inadaptés à l'état réel de la chaudière et ceci afin de ne pas risquer d'endommager des matériels. 

Les inspecteurs ont relevé que les décisions prises dans l'urgence de la conduite des événements se sont révélées être adéquates et appropriées. Les inspecteurs relèvent également que selon la doctrine des services centraux d'EDF, les procédures de conduite incidentelle et accidentelle doivent être mises en œuvre de manière « fidèle et efficace », ce qui peut comprendre une certaine marge d'adaptation. Demande A8 : Je vous demande de faire expertiser auprès des services du centre d'ingénierie du parc nucléaire (CIPN) et de l'unité d'ingénierie d'exploitation (UNIE) d'EDF le processus de prise de décision sur les 4 adaptations évoquées ci-dessus des procédures de conduite incidentelle et accidentelle. Je vous demande en particulier de vérifier : 
- si ces décisions ont été prises par le niveau décisionnel pertinent, notamment pour ce qui concerne la décision n°1 d'anticiper l'arrêt de l'injection aux joints d'étanchéité des groupes motopompes primaires et pour ce qui concerne la décision n°2 de procéder à une reconnaissance du bâtiment réacteur par deux agents de terrain (décisions prises par le chef d'exploitation sans validation par l'agent d'astreinte exerçant la fonction « PCD1 ») ; 
- si ces adaptations correspondent à une application fidèle et efficace des procédures de conduite incidentelle et accidentelle. 

La réalisation d'une reconnaissance du bâtiment réacteur a permis de faciliter le diagnostic sur l'origine de l'écoulement d'eau entraînant une accumulation dans les puisards du bâtiment réacteur et la baisse rapide du niveau dans le réservoir du circuit de traitement et de réfrigération d'eau des piscines (circuit PTR). Cependant, la philosophie qui préside à la conception des procédures de conduite incidentelle et accidentelle des réacteurs du parc nucléaire est celle d'une approche par état de la chaudière. Ces procédures prévoient la réalisation d'un diagnostic itératif à partir de relevés de paramètres fondamentaux destinés à aider les opérateurs dans la compréhension des phénomènes auxquels ils ont à faire face. 

Dans le cas de l'événement du 18 août 2012, les difficultés de pilotage rencontrées proviennent d'une erreur de diagnostic initiale (diagnostic d'une fuite primaire qui n'existe pas en réalité) : les procédures de conduite n'étaient donc pas adaptées à l'état réel de la chaudière. 

L'entrée de deux agents de terrain dans le bâtiment réacteur a permis de faire un diagnostic approprié de l'installation de manière efficace : cependant, une telle reconnaissance aurait potentiellement exposé les agents à des risques si la chaudière avait été réellement endommagée. Demande A9 : Je vous demande de définir avec les services du centre d'ingénierie du parc nucléaire (CIPN) et l'unité d'ingénierie d'exploitation (UNIE) d'EDF une doctrine fixant les conditions dans lesquelles des agents de terrain peuvent entrer dans le bâtiment réacteur lorsque la conduite du réacteur s'effectue à l'aide des procédures incidentelles et accidentelles. 

## Programme De Remise En État Des Matériels À L'Issue De L'Événement

A l'issue du transitoire subi par le réacteur n°3, une équipe projet a été mise en place pour définir un programme de nettoyage et de remise en conformité des matériels affectés par l'écoulement d'eau du système PTR au cours de la nuit du 18 au 19 août 2012. La méthode retenue a consisté à établir une cartographie des matériels touchés, à décontaminer les bâtiments concernés par l'écoulement d'eau, à expertiser et à remettre l'état en les matériels ayant baigné dans l'eau issue du système PTR. Les inspecteurs ont relevé le caractère approprié des mesures prises par l'équipe projet. Ils ont cependant relevé qu'il n'était pas prévu de procéder à un contrôle d'absence de désordre au prochain arrêt (en 2013) mais seulement à la visite partielle prévue en 2014 pour les matériels mécaniques et les ancrages suivants : 
- ancrage des accumulateurs repérés 3 RIS 001 à 003 BA ; - ancrage des échangeurs de refroidissement repérés 3 RRA 001 et 002 RF ; - supports des petites tuyauteries situées au niveau -3 mètres 50 du bâtiment réacteur. 

Il en est de même pour ce qui concerne les tuyauteries en acier noir du système de production d'eau glacée (DEG) situées au niveau - 3 mètres 50 du bâtiment réacteur qui ont été en contact avec de l'eau borée. Vous avez procédé sur ces tuyauteries à un contrôle visuel qui a permis de constater l'absence de traces de bore ainsi que l'absence de dégradation par corrosion. Mais dans la mesure où vous considérez que le phénomène de corrosion a une cinétique lente, vous avez prévu de réaliser un contrôle visuel d'absence de corrosion dans deux cycles. 

Demande A10 : Je vous demande de prévoir un contrôle visuel d'absence de désordre sur l'ensemble des matériels répertoriés ci-dessus au prochain arrêt pour maintenance programmé du réacteur en 2013. 

## B. Demande D'Informations Complémentaires

Vérification des autorisations internes à EDF lors du passage du réacteur à l'état « arrêt pour intervention (non suffisamment ouvert) » Les inspecteurs ont examiné la gamme renseignée de l'essai et contrôle ultime n°31 réalisé le 16 août 2012 par le chef d'exploitation lors du passage du réacteur de l'état « arrêt pour intervention 
(suffisamment ouvert) » à l'état « arrêt pour intervention (non suffisamment ouvert) ». 

En application de la consigne particulière relative aux condamnations administratives (références : D0900 CPC 00025 indice 1), le chef d'exploitation devait vérifier que les vannes repérées 8 TEP 102 VD et 8 TEP 103 VD étaient effectivement fermées. Les inspecteurs ont relevé que le chef d'exploitation a indiqué sur la gamme renseignée de l'essai et contrôle ultime n°31 que ces vannes étaient ouvertes et que leur condamnation administrative était reportée sur d'autres organes en application du paragraphe n° 5.48.2.4 de la consigne particulière de conduite relative aux condamnations administratives. Or il s'avère que le report permis par le paragraphe 5.48.2.4 ne porte par sur les vannes repérées 8 TEP 102 VD et 8 TEP 103 VD. Demande B1 : Je vous demande de vérifier que les vannes repérées 8 TEP 102 VD et 8 TEP 103 VD étaient correctement consignées lors du passage du réacteur de l'état « arrêt pour intervention (suffisamment ouvert) » à l'état « arrêt pour intervention (non suffisamment ouvert) ». 

## - C. Observations

C1 : Les inspecteurs ont relevé qu'à ce stade, il n'est pas défini formellement dans les notes d'organisation, la délégation de responsabilité du chef de la mission sûreté qualité au chef du service sûreté qualité, ou à un autre membre du service sûreté qualité, durant les périodes où le chef de la mission sûreté qualité assure l'astreinte de décision direction (PCD1), tel qu'il est prescrit par la directive interne d'EDF n°106. Les inspecteurs ont cependant bien noté qu'un projet de note d'organisation est en cours de validation sur cette question. Vous voudrez bien me faire part de vos observations et réponses concernant ces points dans un délai de deux mois, sauf mention particulière. Pour les engagements que vous seriez amené à prendre, je vous demande de bien vouloir les identifier clairement et d'en préciser, pour chacun, l'échéance de réalisation. Dans le cas où vous seriez contraint par la suite de modifier l'une de ces échéances, je vous demande également de m'en informer. Je vous prie d'agréer, Monsieur le Directeur, l'assurance de ma considération distinguée. 

Le chef de la division de Lyon de l'ASN délégué SIGNE : Matthieu MANGION